Beveiligingslek

Microsoft draaide binnen een dag de melding terug dat een kwetsbaarheid met de maximale score 10,0 in Entra ID was misbruikt. Klanten konden niets patchen, en zien in hun eigen logs maar zeven tot dertig dagen terug.

Beveiligingsbedrijf Adversa laat zien hoe versleutelde instructies op een webpagina Grok zijn eigen chatgeschiedenis, naam en locatie naar een aanvaller sturen. Zonder klik, zonder waarschuwing. xAI weet het sinds 3 juni en dichtte niets.

Varonis vroeg Copilot waarom automatisch uitvoeren onmogelijk was en kreeg de ongedocumenteerde parameter autorun=1 terug. Een klik op een link lekte inbox, wachtwoorden en agenda. Microsoft dichtte de drie gaten op 18 augustus.

Have I Been Pwned bevestigt 1,6 miljoen accounts in het gelekte RingCentral-archief, met namen, telefoonnummers en adressen. Wat een Nederlandse afnemer nu moet nalopen in zijn verwerkersregister en zijn meldplicht.

Cl0p claimt 89 gigabyte data van Shell en 13,5 gigabyte van Philips, waaronder blauwdrukken. Beide bedrijven onderzoeken een incident. De campagne eromheen draait om een kritiek lek in de PLM-software van PTC.

Het aanmeldformulier van Klaviyo stuurde wachtwoorden en bedrijfsgegevens van nieuwe klanten naar 31 externe hostnamen, vond onderzoeksbureau Melurna. Een tweede fout stuurde klantprofielen van webshops door naar Sift, Gainsight en Google Analytics.

Atlassian dichtte het RovoBlast-lek waarmee een geklikte link de AI-assistent Rovo data uit Jira en Confluence liet wegsluizen. Een tweede route van PromptArmor stond op 5 augustus nog open en omzeilt de websearch-knop.

Domeinbeheerder SIDN toonde sinds april 2024 via zijn publieke RDAP-dienst meer registratiegegevens van zakelijke .nl-houders dan toegestaan, waaronder contact-e-mailadressen. De stichting meldde het lek zelf en informeerde de Autoriteit Persoonsgegevens.

Een kritiek lek in Claude voor Chrome laat kwaadaardige extensies de AI-assistent stil taken laten uitvoeren op Gmail, Agenda en Salesforce. Anthropic sloot de meldingen zonder patch. Wat betekent dat voor je extensie- en agent-beleid?

xAI's Grok Build stuurde hele repositories, inclusief .env-bestanden met API-sleutels, naar een Google-cloudbucket. De privacy-toggle stopte de uploads niet. Draai je de codeer-CLI zakelijk, roteer nu je credentials.

De privacytoezichthouder kreeg in 2025 ruim 39.000 datalekmeldingen en waarschuwt voor een sterke stijging van account takeovers via phishing. AI maakt die aanvallen makkelijker, precies waar de meldplicht en je beveiliging nu op de proef worden gesteld.

Een ontwikkelaar ontdekte dat Claude Code maandenlang een verborgen vingerafdruk in zijn system prompt codeerde om proxy- en tijdzonegebruik te detecteren. Anthropic belooft een fix. Wat betekent dat voor bedrijven die de tool zakelijk inzetten?